Push Security บริษัทความปลอดภัยเปิดเผยเมื่อ 5 พฤศจิกายน 2569 ว่าพบแคมเปญฟิชชิงที่ส่งอีเมลเชิญร่วมงานอีเวนต์ของ OpenAI และ SpaceX ปลอม ล่อด้วยของแถมอย่าง ChatGPT Pro ฟรี 3 เดือน หรือ Grok Heavy แลกกับการล็อกอินด้วยบัญชีงาน Microsoft หรือ Google แต่งานเหล่านี้ไม่มีอยู่จริง ผู้โจมตีใช้ชุดเครื่องมือฟิชชิงสำเร็จรูปที่ขโมยได้ทั้งรหัสผ่าน รหัสยืนยันสองขั้นตอน และ session ทำให้เข้าบัญชีได้แม้เหยื่อเปิด MFA ไว้
สารบัญ
⚡ สรุปข่าวใน 30 วินาที
- อีเมลเชิญงาน OpenAI, SpaceX และ Anthropic ปลอม แจก ChatGPT Pro หรือ Grok Heavy
- เป้าหมายคือบัญชีงาน Microsoft 365 และ Google Workspace
- ใช้ชุดเครื่องมือ Kali365 และ VoidProxy ข้ามการยืนยันสองขั้นตอน
- อีเมลบางฉบับส่งผ่านแพลตฟอร์มจริงอย่าง GoTo Webinar และ Zoom
- ห้ามกรอกรหัสอุปกรณ์ที่เว็บให้มา และตรวจ session ที่ไม่รู้จัก
มิจฉาชีพหลอกอย่างไร
อีเมลปลอมจะเชิญผู้รับไปงานอีเวนต์ของ OpenAI หรือ SpaceX พร้อมสิทธิพิเศษด้าน AI เช่น ใช้ ChatGPT Pro ฟรี 3 เดือน หรือ Grok Heavy โดยให้ลงทะเบียนด้วยบัญชีงาน Microsoft หรือ Google อีกเวอร์ชันหนึ่งแอบอ้าง Anthropic ในงาน AWS re:Invent ซึ่งถูกปิดไปแล้ว Push Security อธิบายว่าเหยื่อติดกับเพราะพนักงานอยากได้เครื่องมือ AI ใหม่ล่าสุด
อีเมลส่งผ่านบริการย่อลิงก์ที่หลบการตรวจชื่อเสียงของโดเมน และบางฉบับส่งผ่านแพลตฟอร์มจริงอย่าง GoTo Webinar และ Zoom ทำให้ดูน่าเชื่อถือกว่าอีเมลฟิชชิงทั่วไป เป้าหมายหลักคือพนักงานฝ่ายการตลาดและฝ่ายอื่นที่ใช้บัญชี Microsoft 365 หรือ Google Workspace
ทำไมเปิด MFA แล้วก็ยังโดน
ผู้โจมตีไม่ได้เดารหัสยืนยัน แต่ขโมยผลลัพธ์ที่ได้หลังยืนยันตัวตน เช่น โทเคนและคุกกี้ session ผ่านชุดเครื่องมือฟิชชิงสำเร็จรูป 2 ตัว
| เครื่องมือ | วิธีโจมตี | เป้าหมาย |
|---|---|---|
| VoidProxy | ทำตัวเป็นตัวกลาง ส่งหน้าล็อกอินจริงให้เหยื่อ แล้วดักรหัสผ่าน รหัส MFA และคุกกี้ session | Microsoft และ Google |
| Kali365 | หลอกให้เหยื่อกรอกรหัสอุปกรณ์ (device code) บนหน้าล็อกอินจริงของ Microsoft เพื่ออนุมัติเครื่องของผู้โจมตี | Microsoft |
เมื่อได้ session ไปแล้ว ผู้โจมตีเข้ากล่องอีเมลของเหยื่อได้ทันทีโดยไม่ต้องยืนยันตัวตนซ้ำ กล่องอีเมลบริษัทจึงเป็นรางวัลหลักของแคมเปญนี้ เพราะใช้ต่อยอดหลอกคนอื่นในองค์กรได้
FBI เคยออกประกาศเตือนเกี่ยวกับชุดเครื่องมือ Kali365 ไปแล้วเมื่อ 21 พฤษภาคม 2569
สังเกตอีเมลปลอมอย่างไร
ตัวอย่างโดเมนที่ Push Security พบ เช่น openai.eventrsvp[.]app และ spacex.eventrsvp[.]app ซึ่งไม่ใช่เว็บไซต์ของบริษัทจริง แต่ผู้โจมตีเปลี่ยนโดเมนทุกไม่กี่สัปดาห์ การจำชื่อโดเมนอย่างเดียวจึงไม่พอ
สัญญาณที่ควรระวังคือ อีเมลเชิญงานที่ไม่ได้ลงทะเบียนไว้ ของแถมที่ดีเกินจริง การขอให้ล็อกอินด้วยบัญชีงานเพื่อรับสิทธิ์ และหน้าเว็บที่ขอให้กรอกรหัสอุปกรณ์
วิธีป้องกันสำหรับพนักงานและผู้ดูแลระบบ
- ตรวจงานจริง เข้าเว็บไซต์ของบริษัทผู้จัดงานโดยพิมพ์ที่อยู่เอง แทนการกดลิงก์ในอีเมล
- ห้ามกรอกรหัสอุปกรณ์ อย่ากรอก device code ที่เว็บไซต์ใดให้มา
- ตรวจ session เข้าการตั้งค่าบัญชี Google หรือ Microsoft ดูและลบ session ที่ไม่รู้จัก
- ใช้ passkey ช่วยกันการดักผ่านตัวกลางได้ แต่ไม่กันการหลอกด้วย device code
- สำหรับผู้ดูแลระบบ ตรวจการใช้งาน device code flow แล้วบล็อกผ่าน Conditional Access
ถ้าเผลอล็อกอินไปแล้ว ให้เปลี่ยนรหัสผ่านทันที ออกจากระบบทุกอุปกรณ์ และแจ้งฝ่ายไอทีขององค์กร เพราะผู้โจมตีอาจใช้บัญชีส่งอีเมลหลอกเพื่อนร่วมงานต่อ
กระแส AI ถูกใช้เป็นเหยื่อล่อ
แคมเปญนี้สะท้อนว่ามิจฉาชีพเปลี่ยนเหยื่อล่อตามกระแส ตอนนี้ AI คือสิ่งที่คนอยากได้มากที่สุด ช่วงเดียวกันยังมีรายงานจากหลายแหล่งเรื่องหน้าเว็บแจกบัญชี AI ฟรี ซึ่งมักจบที่การขโมยข้อมูลหรือสมัครบริการที่ไม่ต้องการ
กฎง่าย ๆ คือ OpenAI, SpaceX และ Anthropic ไม่แจกบัญชีแบบเสียเงินฟรีผ่านอีเมลเชิญงานที่ต้องล็อกอินด้วยบัญชีบริษัท ถ้าเจอข้อเสนอแบบนี้ ให้ตรวจสอบจากช่องทางทางการก่อนทุกครั้ง
คำถามที่พบบ่อยเกี่ยวกับ ฟิชชิงอีเวนต์ AI ปลอม
อีเมลเชิญงาน OpenAI ปลอมหน้าตาเป็นอย่างไร
เชิญร่วมงานอีเวนต์และแจก ChatGPT Pro ฟรี 3 เดือน แลกกับการล็อกอินบัญชีงาน
เปิด MFA แล้วปลอดภัยไหม
ไม่พอ เพราะผู้โจมตีขโมยคุกกี้ session และหลอกให้อนุมัติ device code
ถ้าเผลอล็อกอินไปแล้วต้องทำอย่างไร
เปลี่ยนรหัสผ่าน ออกจากระบบทุกอุปกรณ์ และแจ้งฝ่ายไอที
Kali365 คืออะไร
ชุดเครื่องมือฟิชชิงที่หลอกให้เหยื่อกรอก device code บนหน้า Microsoft จริง
ป้องกันอย่างไร
เข้าเว็บผู้จัดงานเอง ห้ามกรอก device code ที่เว็บให้ และใช้ passkey
ความคิดเห็น 0
ยังไม่มีความคิดเห็นเป็นคนแรกที่แสดงความคิดเห็นในบทความนี้